單點登錄SSO（Single Sign On）說得簡單點就是在一個多系統共存的環境下，用戶在一處登錄后，就不用在其它系統中登錄，也就是用戶的一次登錄能得到其它全部系統的信任。單點登錄在大型站點里使用得很頻繁，比如像阿里巴巴這種站點，在站點的背后是成百上千的子系統，用戶一次操作或交易可能涉及到幾十個子系統的協作，假設每一個子系統都須要用戶認證，不僅用戶會瘋掉，各子系統也會為這種反復認證授權的邏輯搞瘋掉。實現單點登錄說究竟就是要解決怎樣產生和存儲那個信任，再就是其它系統怎樣驗證這個信任的有效性，因此要點也就下面幾個：

• 存儲信任
• 驗證信任

僅僅要攻克了以上的問題，達到了開頭講得效果就能夠說是SSO。最簡單實現SSO的方法就是用Cookie，實現流程例如以下所看到的：

不然發現以上的方案是把信任存儲在client的Cookie里，這樣的方法盡管實現方便但立刻會讓人質疑兩個問題：

• Cookie不安全
• 不能跨域免登

對于第一個問題一般都是通過加密Cookie來處理，第二個問題是硬傷，事實上這樣的方案的思路的就是要把這個信任關系存儲在client，要實現這個也不一定僅僅能用Cookie，用flash也能解決，flash的Shared Object API就提供了存儲能力。

一般說來，大型系統會採取在服務端存儲信任關系的做法，實現流程例如以下所看到的：

以上方案就是要把信任關系存儲在單獨的SSO系統（暫且這么稱呼它）里，說起來僅僅是簡單地從client移到了服務端，但當中幾個問題須要重點解決：

• 怎樣高效存儲大量暫時性的信任數據
• 怎樣防止信息傳遞過程被篡改
• 怎樣讓SSO系統信任登錄系統和免登系統

對于第一個問題，一般能夠採用相似與memcached的分布式緩存的方案，既能提供可擴展數據量的機制，也能提供高效訪問。對于第二個問題，一般採取數字簽名的方法，要么通過數字證書簽名，要么通過像md5的方式，這就須要SSO系統返回免登URL的時候對需驗證的參數進行md5加密，并帶上token一起返回，最后需免登的系統進行驗證信任關系的時候，需把這個token傳給SSO系統，SSO系統通過對token的驗證就能夠辨別信息是否被改過。對于最后一個問題，能夠通過白名單來處理，說簡單點僅僅有在白名單上的系統才干請求生產信任關系，同理僅僅有在白名單上的系統才干被免登錄。

以上僅僅是提供了些簡單的實現技術，但須要強調的是這僅僅是技術實現而已，僅僅是為了解決上面談到的一些問題，SSO本身來說并非什么高科技，有了這個認識比較有利于我們深入探索SSO

?